[논문 리뷰] DevSecOps in Robotics.

Víctor Mayoral Vilches, Nuria García-Maestro외 2명|arXiv (Cornell University)|2020. 03. 23.

Software System Performance and Reliability참고 문헌 22인용 수 5

한 줄 요약

이 논문은 자동화되고 지속적인 보안 관행을 통해 로봇 시스템의 DevOps 라이프사이클에 보안을 통합하는 프레임워크인 로봇 분야의 DevSecOps를 소개한다. 보안을 개발 초기 단계부터 전 과정에 걸쳐 통합함으로써 소프트웨어 품질 향상과 위협에 대한 시스템의 내구성을 강화함을 보여준다.

ABSTRACT

Quality in is often understood as execution according to design purpose whereas security means that software will not put data or computing systems at risk of unauthorized access. There seems to be a connection between these two aspects but, how do we integrate both of them in the robotics development cycle? In this article we introduce DevSecOps in Robotics, a set of best practices designed to help roboticists implant security deep in the heart of their development and operations processes. First, we briefly describe DevOps, introduce the value added with DevSecOps and describe and illustrate how these practices may be implemented in the robotics field. We finalize with a discussion on the relationship between security, quality and safety, open problems and future research questions.

연구 동기 및 목표

• 유연성이나 품질을 희생시키지 않으면서도 로봇 개발에 보안을 통합할 필요가 점점 커지는 데에 대응한다.
• 현재의 로봇 개발 관행에서 보안이 종종 후행 작업으로 간주되는 격차를 규명한다.
• 지속적인 보안 검증과 강화를 보장하기 위해 로봇에 특화된 DevSecOps 프레임워크를 제안한다.
• 통합적인 시스템 설계를 이끌기 위해 로봇 시스템에서 보안, 품질, 안전성 간의 상호작용을 탐색한다.
• 로봇 파이프라인과 시스템을 보다 안전하게 만들기 위한 열린 문제점과 향후 연구 방향을 부각시킨다.

제안 방법

• 지속적 통합 및 배포(CI/CD) 원칙을 적용하여 로봇 개발 라이프사이클의 모든 단계에서 자동화된 보안 테스트를 통합한다.
• 로봇 소프트웨어의 CI/CD 파이프라인에 정적 및 동적 애플리케이션 보안 테스팅(SAST/DAST)을 통합한다.
• 보안 스캐닝을 적용한 인프라 as 코드(IaC) 관행을 통해 안전한 배포 설정을 확보한다.
• 로봇 시스템 설계 단계 초반에 위협 모델링과 취약성 평가를 통합한다.
• 하드닝 기준을 적용한 컨테이너화 및 오케스트레이션(Docker, Kubernetes 등)을 활용해 런타임 환경을 보호한다.
• 보안 발견 사항을 개발 팀에 직접 보고하는 피드백 루프를 구축하여 빠른 수정을 가능하게 한다.

실험 결과

연구 질문

• RQ1 로봇 애플리케이션의 DevOps 파이프라인에 보안을 체계적으로 통합하는 방법은 무엇인가?
• RQ2 로봇 분야에서 DevSecOps 관행을 도입할 때 발생하는 주요 기술적 및 조직적 과제는 무엇인가?
• RQ3 보안을 조기에 통합할 경우 로봇 시스템의 전반적인 품질과 안전성에 어떤 영향을 미치는가?
• RQ4 자동화와 도구 활용이 로봇 개발 라이프사이클 전반에서 보안을 유지하는 데 어떤 역할을 하는가?
• RQ5 기존 소프트웨어 개발을 초월해 로봇 소프트웨어를 보다 안전하게 만들기 위한 열린 문제점은 무엇인가?

주요 결과

• 로봇 분야의 DevSecOps는 개발 라이프사이클 전반에서 지속적인 보안 검증을 가능하게 하여 생산 환경에서의 취약성 위험을 줄인다.
• 보안을 조기에 자동으로 통합함으로써 배포 이전에 문제를 조기에 발견함으로써 소프트웨어 품질을 향상시킨다.
• 개발 단계에서 위협을 사전에 식별하고 완화함으로써 이 프레임워크는 더 안전한 로봇 시스템을 지원한다.
• 보안이 개발 후 추가 기능이 아니라 첫 번째 고려사항이 되어 품질 및 안전성 목표와 일치한다.
• 기존 DevOps 툴체인에 보안 제어를 추가함으로써 로봇 전용 요구사항을 충족시킬 수 있음을 드러낸다.
• 다양한 로봇 플랫폼과 용도에 맞는 위협 모델링 및 안전한 설정 표준화 문제는 여전히 열려 있는 과제이다.